Register EDP-auditor (RE): zo word je ingeschreven bij NOREA

Wat is een Register EDP-auditor (RE)?

RE staat voor Register EDP-Auditor. NOREA gebruikt daarnaast de term Register IT-auditor, dus je kunt beide namen tegenkomen. NOREA is de beroepsorganisatie van IT-auditors in Nederland en beheert het register waarin de RE's staan.

Een IT-auditor beoordeelt onafhankelijk of IT-systemen, processen en beheersmaatregelen doen wat ze moeten doen, en of een organisatie zich houdt aan afspraken, normen en regels. Het werk eindigt in een auditrapport met bevindingen. Wat het vak precies inhoudt, lees je in het overzicht van werken als IT-auditor. Audit en compliance horen bij het vakgebied compliance en privacy.

Wie in het register staat, verbindt zich aan de gedrags- en beroepsregels van NOREA en valt onder tuchtrechtspraak. De RE is een beroepstitel, geen cursuscertificaat. Je krijgt hem door opleiding, ervaring en inschrijving samen, niet door één examen.

De voorwaarden kunnen veranderen. Controleer ze daarom op de site van NOREA voordat je er plannen op baseert.

Wat heb je nodig om RE te worden?

NOREA noemt in de veelgestelde vragen drie hoofdvereisten. De tabel zet ze naast elkaar.

De werkervaring toon je aan op een formulier in het format dat NOREA vraagt. Per opdracht vul je in: het type organisatie waar de werkzaamheden zijn uitgevoerd, je rol, de periode en de uren die je aan de opdracht hebt besteed. Hou per opdracht organisatie, rol, periode en uren vanaf het begin bij in een eigen overzicht. Dan is het formulier later sneller ingevuld.

Werk dat meetelt als relevante ervaring ligt in de buurt van het werk dat de rolgids van de IT-auditor beschrijft: assurance-rapportages, ISO-audits, IT General Controls, interne audits van IT-processen, complianceaudits en data-analyse. Of een specifieke opdracht meetelt, beoordeelt NOREA.

Een deel van de werkervaring kan al zijn opgebouwd terwijl je de opleiding volgt. Hoe dat in jouw situatie uitpakt, bespreek je met NOREA.

NOREA schrijft dat de Commissie van Toelating het opleidingsdiploma, de werkervaring volgens het format en de VOG beoordeelt. Ook schrijft NOREA dat je je na het behalen van het eindexamen en drie jaar relevante werkervaring als RE kunt inschrijven in het register.

Welke opleidingen zijn door NOREA erkend?

NOREA noemt op de pagina over RE-opleidingen en scripties vier opleidingen waarmee je de RE-titel kunt halen. De veelgestelde vragen van NOREA noemen dezelfde vier aanbieders, met licht afwijkende opleidingsnamen. De tabel geeft de naam zoals NOREA hem noemt, de aanbieder en wat de aanbieder zelf over de opleiding schrijft.

De koppeling van TIAS en de VU met de RE-titel volgt uit de lijst van NOREA. De Erasmus-opleiding vraagt voor toelating een opleiding op academisch niveau, een MSc- of drs.-titel van een Nederlandse universiteit. Wie dat niet met een diploma kan aantonen, kan een toelatingsprocedure doorlopen met een gesprek en een opdracht. Erasmus schrijft ook dat wie afstudeert zich kan inschrijven in het register van NOREA, met daarbij drie jaar relevante werkervaring.

De opleidingen zijn postinitieel en je volgt ze in deeltijd, naast je werk. Je kunt dus al werken, bijvoorbeeld als IT-auditor, in security, in risk of in beheer, terwijl je de opleiding volgt. Het werk dat je in die jaren doet, kan later op het formulier van NOREA terechtkomen.

Heb je nog geen opleiding op masterniveau, dan kun je bij de aanbieders navragen of een toelatingsprocedure of premaster mogelijk is. Meer over de instap via een bachelor of master vind je bij cybersecurity-opleidingen op hbo en wo.

De lijst kan veranderen. Kosten en toelatingseisen staan op de sites van de aanbieders.

Wat is een aspirant-lid?

NOREA kent aspirant-leden. Dat zijn studenten of afgestudeerde young professionals van erkende post-master IT-auditopleidingen die nog niet aan de ervaringseis voldoen om als RE te worden ingeschreven. Het aspirant-lidmaatschap is gericht op toekomstige RE-registratie.

Het is een tussenstap voor wie net begint en nog aan de ervaring werkt. Zodra je aan de eisen voldoet, kun je je als RE laten inschrijven. Welke stappen daarbij horen, staat op de site van NOREA.

Wat verwacht NOREA van een RE na de inschrijving?

Een RE houdt zijn kennis aantoonbaar bij via permanente educatie (PE). De richtlijn van NOREA per 1 januari 2019 bepaalt dat een RE minimaal 120 PE-punten behaalt per driejaarsperiode, met minimaal 20 gestructureerde PE-punten per kalenderjaar. Van die 120 punten bestaan minimaal 100 uit gestructureerde PE. Eén PE-punt staat gelijk aan 60 minuten, dus 120 punten komen neer op 120 uur permanente educatie in drie jaar.

De richtlijn kent drie aandachtsgebieden. Aandachtsgebied A gaat over actieve bijdragen aan het vakgebied, zoals lesgeven, commissiewerk en schrijven. Aandachtsgebied B gaat over algemene kennis en vaardigheden, waaronder ethiek en audit- en adviesvaardigheden. Aandachtsgebied C gaat over technische onderwerpen: informatietechnologie, informatiebeveiliging en IT-governance, risk en compliance. Op aandachtsgebied C zijn minimaal 30 gestructureerde punten per drie jaar nodig.

Gestructureerd is bijvoorbeeld een cursus, seminar of congres. Ongestructureerd is zelfstudie en vakliteratuur. Registreer elke activiteit met bewijs. Volgens de richtlijn bewaar je die gegevens minimaal zeven jaar, en doe je uiterlijk op 1 maart van elk jaar opgave van de PE van het afgelopen kalenderjaar aan de Commissie Educatie. Het bestuur kan in bepaalde gevallen vrijstelling of ontheffing verlenen.

Deze tekst volgt de richtlijn permanente educatie van per 1 januari 2019. De richtlijn kan sindsdien zijn bijgewerkt, dus kijk voor de actuele versie op de site van NOREA.

Het openbare register van NOREA bevat alle gekwalificeerde IT-auditors (RE's). Je zoekt op de beginletters van de achternaam. Per lid staat beperkte informatie vermeld vanwege privacy, en NOREA werkt het register elke 24 uur bij.

RE of CISA?

De RE en de CISA zijn niet hetzelfde en sluiten elkaar niet uit. De RE is een Nederlandse beroepstitel met een erkende opleiding, ervaring en inschrijving bij NOREA. De CISA is een internationale certificering van ISACA, met een examen en een ervaringseis.

De twee beantwoorden een andere vraag. Met de RE sta je in het Nederlandse register en val je onder de gedrags- en beroepsregels van NOREA. De CISA is een internationale certificering die je met een examen en een ervaringseis behaalt. Beide worden in de IT-audit gebruikt. Welke bij jou past, hangt af van je loopbaan, je werkgever en of je in Nederland werkt. Bekijk ook de vacatures waarin de skill CISA voorkomt. Wie in audit op informatiebeveiliging wil werken, kan ook naar de ISO 27001 Lead Auditor kijken, met vacatures waarin die skill voorkomt.

Voor de vergelijking met andere certificeringen is er de keuzegids per functie. Voor de verschillen tussen CISSP, CISM en CISA lees je CISSP, CISM of CISA: welke certificering past.

Voor welke functies is de RE-titel bedoeld?

De RE-titel is de erkende Nederlandse beroepstitel voor het werk van een IT-auditor. Dat werk bestaat onder meer uit assurance-rapportages, ISO-audits, IT General Controls en interne audits van IT-processen, zoals de rolgids beschrijft. Bekijk de vacatures voor IT-auditor en zie welke werkgevers deze functie hebben.

Ook buiten de pure audit kan de titel van pas komen, waar auditkennis en een erkende titel helpen. Of een werkgever de titel vraagt, verschilt per vacature, dus lees de eisen in de advertentie:

• GRC-consultant: adviseert over governance, risico en compliance, en kan audit-kennis gebruiken bij de inrichting en toetsing van beheersmaatregelen.
• IT-risicomanager: beoordeelt IT-risico's en de maatregelen die daarop zijn gericht.
• Compliance officer: bewaakt dat een organisatie zich aan wet- en regelgeving en interne afspraken houdt.

Welke functie bij jou past, hangt af van je achtergrond en van de opdrachten die je hebt gedaan. Meer over functies en certificeringen vind je in de kennisbank.